特許 6032449 サイバー攻撃メール対応訓練システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B1)

(11)【特許番号】6032449

(24)【登録日】2016年11月4日

(45)【発行日】2016年11月30日

(54)【発明の名称】サイバー攻撃メール対応訓練システム

(51)【国際特許分類】

   G06F 13/00 20060101AFI20161121BHJP

【ＦＩ】

   G06F13/00 610S

   G06F13/00 625

【請求項の数】11

【全頁数】22

(21)【出願番号】特願2015-225155(P2015-225155)

(22)【出願日】2015年11月17日

【審査請求日】2016年7月19日

【早期審査対象出願】

(73)【特許権者】

【識別番号】714004631

【氏名又は名称】野々市 恭徳

(74)【代理人】

【識別番号】100137338

【弁理士】

【氏名又は名称】辻田 朋子

(72)【発明者】

【氏名】野々市 恭徳

【審査官】 寺谷 大亮

(56)【参考文献】

【文献】 特開２０１３−１４９０６３（ＪＰ，Ａ）

【文献】 山口 健太郎, 小宮山 功一朗, 内田 勝也，ユーザへの予防接種というアプローチによる標的攻撃対策，コンピュータセキュリティシンポジウム２００８ 論文集 ［第一分冊］ Computer Security Symposium 2008 (CSS2008)，日本，社団法人情報処理学会，２００８年１０月 ８日，第2008巻, 第8号，p.385-390

【文献】 木村 壮太，メール攻撃危険予知訓練システムの開発，情報処理学会 研究報告 コンピュータセキュリティ(CSEC) 2013-CSEC-063 [online]，日本，情報処理学会，２０１３年１２月 ２日，p.1-6

【文献】 勝村 幸博，クローズアップ Close Up，日経コンピュータ，日本，日経BP社，２０１３年１２月１２日，第849号，p.68-73

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ １３／００

Ｇ０６Ｆ ２１／００

Ｈ０４Ｌ １２／５８

(57)【特許請求の範囲】

【請求項1】

サイバー攻撃メール対応訓練サーバ装置を備え、訓練対象者へと訓練用ファイルを添付した訓練用メールを送信し、前記訓練対象者による前記訓練用ファイルの開封状況の記録を行うサイバー攻撃メール対応訓練システムであって、
前記訓練対象者の情報を記憶する訓練対象者情報記憶部と、
前記訓練用メールを受信した前記訓練対象者によって前記訓練用ファイルが開封された場合に発生するＤＮＳリクエストの履歴情報を記憶するＤＮＳ応答履歴情報記憶部と、
前記訓練対象者による前記訓練用ファイルの開封状況を記憶する訓練結果情報記憶部と、
前記サイバー攻撃メール対応訓練サーバ装置を権威ＤＮＳサーバとする訓練用ドメイン名を含む訓練用ファイルを生成する、訓練用ファイル生成手段と、
前記訓練用ファイルが添付された、サイバー攻撃メールを模した訓練用メールを前記訓練対象者へと送信する訓練用メール送信手段と、
前記ＤＮＳリクエストを受信した場合に、前記履歴情報を前記ＤＮＳ応答履歴情報記憶部へと記録するＤＮＳ応答手段と、
前記履歴情報の解析を行い、前記履歴情報と前記訓練対象者情報記憶部の記憶する情報に基づいて、前記訓練用ファイルを開封した前記訓練対象者を特定し、前記訓練用ファイルの開封状況を前記訓練結果情報記憶部へと記録するＤＮＳ応答履歴解析手段と、を有することを特徴とする、サイバー攻撃メール対応訓練システム。

【請求項2】

前記訓練結果情報記憶部の記憶する前記開封状況の集計を行い、訓練結果として集計して出力する訓練結果情報出力手段を有することを特徴とする、請求項１に記載のサイバー攻撃メール対応訓練システム。

【請求項3】

前記訓練用ファイルが、前記訓練対象者によって開封された場合に実行され、前記訓練用ドメイン名を用いた前記ＤＮＳリクエストを行う、実行形式ファイルであることを特徴とする、請求項１又は請求項２に記載のサイバー攻撃メール対応訓練システム。

【請求項4】

前記訓練用ファイルが、前記訓練対象者によって開封された場合に所定のプログラムで開かれ、前記所定のプログラムによる前記訓練用ドメイン名を用いた前記ＤＮＳリクエストを促す、データファイルであることを特徴とする、請求項１又は請求項２に記載のサイバー攻撃メール対応訓練システム。

【請求項5】

前記ＤＮＳ応答手段が、前記ＤＮＳリクエストに含まれる前記訓練用ドメイン名に対応した回答ＩＰアドレスを含むＤＮＳ回答を生成し、
前記訓練用ファイルが、前記ＤＮＳ回答を受信し、前記回答ＩＰアドレスに応じた処理を行うことを特徴とする、請求項１から請求項４の何れかに記載のサイバー攻撃メール対応訓練システム。

【請求項6】

前記訓練用ファイルが、前記ＤＮＳリクエストの送信元の端末装置の端末情報を示す文字列を前記訓練用ドメイン名に付加して前記ＤＮＳリクエストを行い、
前記ＤＮＳ応答履歴解析手段が、前記端末情報に基づいて、前記訓練用ファイルの開封状況の判定を行うことを特徴とする、請求項１から請求項５の何れかに記載のサイバー攻撃メール対応訓練システム。

【請求項7】

前記訓練用ファイルが、前記端末情報を示す文字列を複数の文字列に分割し、前記複数の文字列のそれぞれを前記訓練用ドメイン名に付加して、複数のＤＮＳリクエストを行い、
前記ＤＮＳ応答履歴解析手段が、前記複数のＤＮＳリクエストの前記履歴情報によって前記訓練用ファイルの開封状況の判定を行うことを特徴とする、請求項６に記載のサイバー攻撃メール対応訓練システム。

【請求項8】

前記履歴情報が、前記ＤＮＳリクエストの送信元ＩＰアドレスを含み、
前記ＤＮＳ応答履歴解析手段が、前記送信元ＩＰアドレスに基づいて、前記訓練用ファイルの開封状況の判定を行うことを特徴とする、請求項１から請求項７の何れかに記載のサイバー攻撃メール対応訓練システム。

【請求項9】

前記訓練用ファイルが前記訓練対象者へと選択を求める複数の選択肢を有し、前記訓練対象者による前記選択肢の選択内容に応じた情報を前記訓練用ドメイン名に付加し、前記ＤＮＳリクエストを行うことを特徴とする、請求項１から請求項８の何れかに記載のサイバー攻撃メール対応訓練システム。

【請求項10】

訓練対象者へと訓練用ファイルを添付した訓練用メールを送信し、前記訓練対象者による前記訓練用ファイルの開封状況の記録を行うサイバー攻撃メール対応訓練プログラムであって、
コンピュータ装置を、
前記訓練対象者の情報を記憶する訓練対象者情報記憶部と、
前記訓練用メールを受信した前記訓練対象者によって前記訓練用ファイルが開封された場合に発生するＤＮＳリクエストの履歴情報を記憶するＤＮＳ応答履歴情報記憶部と、
前記訓練対象者による前記訓練用ファイルの開封状況を記憶する訓練結果情報記憶部と、
訓練用ドメイン名を含む訓練用ファイルを生成する、訓練用ファイル生成手段と、
前記訓練用ファイルが添付された、サイバー攻撃メールを模した訓練用メールを前記訓練対象者へと送信する訓練用メール送信手段と、
前記ＤＮＳリクエストを受信した場合に、前記履歴情報を前記ＤＮＳ応答履歴情報記憶部へと記録するＤＮＳ応答手段と、
前記履歴情報の解析を行い、前記履歴情報と前記訓練対象者情報記憶部の記憶する情報に基づいて、前記訓練用ファイルを開封した前記訓練対象者を特定し、前記訓練用ファイルの開封状況を前記訓練結果情報記憶部へと記録するＤＮＳ応答履歴解析手段と、として動作させることを特徴とする、サイバー攻撃メール対応訓練プログラム。

【請求項11】

訓練対象者情報記憶部と、ＤＮＳ応答履歴情報記憶部と、訓練結果情報記憶部と、訓練用ファイル生成手段と、訓練用メール送信手段と、ＤＮＳ応答手段と、ＤＮＳ応答履歴解析手段と、を備えるサイバー攻撃メール対応訓練システムの動作方法であって、
前記訓練用ファイル生成手段が、訓練用ドメイン名を含む訓練用ファイルを生成するステップと、
前記訓練用メール送信手段が、前記訓練用ファイルが添付された、サイバー攻撃メールを模した訓練用メールを訓練対象者へと送信するステップと、
前記ＤＮＳ応答手段が、前記訓練用メールを受信した前記訓練対象者によって前記訓練用ファイルが開封された場合に発生するＤＮＳリクエストを受信し、履歴情報を前記ＤＮＳ応答履歴情報記憶部へと記録するステップと、
前記ＤＮＳ応答履歴解析手段が、前記履歴情報と前記訓練対象者情報記憶部の記憶する情報とに基づいて、前記訓練用ファイルを開封した前記訓練対象者を特定し、前記訓練結果情報記憶部へと記録するステップと、を備えることを特徴とする、サイバー攻撃メール対応訓練システムの動作方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、サイバー攻撃メールへの対応の訓練を行う、サイバー攻撃メール対応訓練システムに関する。

【背景技術】

【0002】

近年、サイバー攻撃の一種として、企業などの組織に狙いを定めた、標的型攻撃とよばれる手法が用いられている。中でも、マルウェアなどを添付した電子メールを送信し、受信者が添付ファイルを開くことによって攻撃が開始される、といった、いわゆる標的型攻撃メールが用いられる事例は多く、顧客情報の漏えいのような、重大な被害も発生している。

【0003】

攻撃に用いられる手口も巧妙化しており、組織の内部の人間や、取引先のような関連組織の人間を装った件名や内容、拡張子を偽装した添付ファイルなどが用いられることも多い。そのため、電子メールの受信者が、それが標的型攻撃メールであるかどうかを見極めることが困難になってきている。

【0004】

また、同様に電子メールを用いたサイバー攻撃の手法として、不特定多数を対象として、マルウェアの添付や不正なハイパーリンクを含むようなメールを送信する、フィッシングメールなども挙げられる。このように、電子メールを用いた種々のサイバー攻撃が行われている。

【0005】

このような状況に対し、サイバー攻撃メールへの対応の訓練を実施する組織も増えてきている。訓練方法としては、図１１に示すように、マルウェアなどを模した訓練用ファイルを添付し、サイバー攻撃メールを模した訓練用メールを作成し（ステップＳ６１）、それを訓練対象者である組織の構成員などに送信し（ステップＳ６２）、訓練対象者による訓練用ファイルの開封を検知して（ステップＳ６３）、訓練用ファイル添付ファイルを開封してしまった訓練対象者に対して、教育を行う（ステップＳ６４）、といった方法などが用いられている。

【0006】

特許文献１には、このようなサイバー攻撃メール、より具体的には、標的型攻撃メールへの対応の訓練を実施するためのシステムとして、開いた際に各ユーザに対応した特定のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｅｒ）に基づいたＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）リクエストを発生させるファイルを訓練用のダミーメールに添付し、ＨＴＴＰリクエストの発生状況によって、各ユーザの添付ファイルの開封状況を集計することができる、標的型メール攻撃シミュレーションシステムが記載されている。これはすなわち、図１１を参照して説明したような訓練の実施において、ステップＳ６３における訓練用ファイルの開封状況の確認に、ＨＴＴＰリクエストの履歴情報を利用するものである。

【0007】

また、同様に訓練用の添付ファイルの開封状況を把握するための方法として、訓練用の電子メールに、開封（実行）時にＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）サーバへの通信を行い、開封を行ったユーザを特定可能な情報を含む電子メールを送信するような実行ファイルなどを添付し、送信された電子メールに基づいて開封状況を集計する、といった手法も用いられる。

【先行技術文献】

【特許文献】

【0008】

【特許文献1】特開２０１３−１４９０６３号公報

【発明の概要】

【発明が解決しようとする課題】

【0009】

特許文献１に記載の発明によれば、上述したように、ＨＴＴＰリクエストの発生状況によって、訓練対象者による添付ファイルの開封状況を把握することができる。しかし、企業などの組織の多くは、組織内のネットワークと外部のネットワークとの間にファイアウォールやプロキシサーバなどを設置している。そして、特定の宛先以外への通信を遮断するような設定がなされていることも多い。このような場合には、訓練用のファイルから発生したＨＴＴＰリクエストが宛先のＷｅｂサーバへと到達することができないため、ファイルの開封状況を把握することができなくなってしまう。

【0010】

このように、組織内ネットワーク内の端末装置からの自由な通信が行えない場合には、組織内のネットワーク環境に、添付ファイルから発生するＨＴＴＰリクエストを受信するＷｅｂサーバを設置するなどの準備を行う必要が生じてしまう。また、複数の拠点を有するような大規模な組織において訓練を実施する場合などにおいて、各拠点から共通してアクセス可能なＷｅｂサーバを設置するというのは、非常に困難である場合も多い。

【0011】

また、訓練実施時に、ファイアウォールやプロキシサーバなどのセキュリティ設定のレベルを下げ、一時的に訓練用のＷｅｂサーバへと通信を可能とするような方法も考えられる。しかし、一時的とはいえ、組織内のネットワークのセキュリティレベルを下げることになるため、セキュリティ対策の訓練の実施のために、危険にさらされてしまう、といった本末転倒な状況にもなりかねない。

【0012】

添付ファイルの実行時にＳＭＴＰサーバへの通信を行い、電子メールの送信を行うような方法についても、同様に組織内ネットワーク内の端末装置から外部ネットワークへの自由な通信が行えない状況においては、訓練用メールの添付ファイルの開封状況の把握が困難になってしまう。

【0013】

そこで、本発明では、通信環境に制限のある場合においても、訓練対象者による添付ファイルの開封状況を把握し、効果的な訓練を実施することができる、サイバー攻撃メール対応訓練システムを提供することを課題とする。

【課題を解決するための手段】

【0014】

上記課題を解決するために、本発明に係るサイバー攻撃メール対応訓練システムは、
サイバー攻撃メール対応訓練サーバ装置を備え、訓練対象者へと訓練用ファイルを添付した訓練用メールを送信し、前記訓練対象者による前記訓練用ファイルの開封状況の記録を行うサイバー攻撃メール対応訓練システムであって、
前記訓練対象者の情報を記憶する訓練対象者情報記憶部と、
前記訓練用メールを受信した前記訓練対象者によって前記訓練用ファイルが開封された場合に発生するＤＮＳリクエストの履歴情報を記憶するＤＮＳ応答履歴情報記憶部と、
前記訓練対象者による前記訓練用ファイルの開封状況を記憶する訓練結果情報記憶部と、
前記サイバー攻撃メール対応訓練サーバ装置を権威ＤＮＳサーバとする訓練用ドメイン名を含む訓練用ファイルを生成する、訓練用ファイル生成手段と、
前記訓練用ファイルが添付された、サイバー攻撃メールを模した訓練用メールを前記訓練対象者へと送信する訓練用メール送信手段と、
前記ＤＮＳリクエストを受信した場合に、前記履歴情報を前記ＤＮＳ応答履歴情報記憶部へと記録するＤＮＳ応答手段と、
前記履歴情報の解析を行い、前記履歴情報と前記訓練対象者情報記憶部の記憶する情報に基づいて、前記訓練用ファイルを開封した前記訓練対象者を特定し、前記訓練用ファイルの開封状況を前記訓練結果情報記憶部へと記録するＤＮＳ応答履歴解析手段と、を有することを特徴とする。

【0015】

このように、訓練用ドメイン名を含む訓練用ファイルを訓練対象者へと送信し、それが開封された場合に発生するＤＮＳリクエストによって訓練対象者による訓練用ファイルの開封の有無を判別することで、ＨＴＴＰやＳＭＴＰなどのプロトコルによる通信が制限された環境においても、ＤＮＳリクエストの送信さえ許可されていれば、サイバー攻撃メールへの対応の訓練を実施することができる。ファイアウォールやプロキシサーバなどが設置される組織内ネットワークのような環境においても、外部ＤＮＳサーバへの直接の、あるいは内部ＤＮＳサーバを経由した、ＤＮＳリクエストの送信は多くの場合に許可されているため、様々な環境において訓練を実施することができる。

【0016】

本発明の好ましい形態では、前記訓練結果情報記憶部の記憶する前記開封状況の集計を行い、訓練結果として集計して出力する訓練結果情報出力手段を有することを特徴とする。
このように、訓練用ファイルの開封を行った訓練対象者の集計結果を出力可能な構成とすることにより、訓練結果の詳細な分析や、訓練対象者に対する適切な対応をとることができる。

【0017】

本発明の好ましい形態では、前記訓練用ファイルが、前記訓練対象者によって開封された場合に実行され、前記訓練用ドメイン名を用いた前記ＤＮＳリクエストを行う、実行形式ファイルであることを特徴とする。
このように、訓練用ファイルとして実行形式ファイルを用いることで、訓練対象者の用いる端末装置へのアプリケーションプログラムのインストール状況などに関わらず、訓練を実施することができる。

【0018】

本発明の好ましい形態では、前記訓練用ファイルが、前記訓練対象者によって開封された場合に所定のプログラムで開かれ、前記所定のプログラムによる前記訓練用ドメイン名を用いた前記ＤＮＳリクエストを促す、データファイルであることを特徴とする。
このように、訓練用ファイルとしてデータファイルを用いることで、広く用いられる文書作成ソフトや表計算ソフトなどを用いたサイバー攻撃に対する訓練を実施することができる。

【0019】

本発明の好ましい形態では、前記ＤＮＳ応答手段が、前記ＤＮＳリクエストに含まれる前記訓練用ドメイン名に対応した回答ＩＰアドレスを含むＤＮＳ回答を生成し、
前記訓練用ファイルが、前記ＤＮＳ回答を受信し、前記回答ＩＰアドレスに応じた処理を行うことを特徴とする。
このように、訓練用ファイルによってＤＮＳ回答に応じた処理を行うことにより、訓練対象者の行動を判別し、それに適した注意喚起などを行うことができる。

【0020】

本発明の好ましい形態では、前記訓練用ファイルが、前記ＤＮＳリクエストの送信元の端末装置の端末情報を前記訓練用ドメイン名に付加して前記ＤＮＳリクエストを行い、
前記ＤＮＳ応答履歴解析手段が、前記端末情報に基づいて、前記訓練用ファイルの開封状況の判定を行うことを特徴とする。
このように、ＤＮＳリクエストの送信元である端末装置の情報を開封状況の判定に用いることで、訓練対象者による訓練用ファイルの開封状況をより正確に把握することができる。

【0021】

本発明の好ましい形態では、前記訓練用ファイルが、前記端末情報を示す文字列を複数の文字列に分割し、前記複数の文字列のそれぞれを前記訓練用ドメイン名に付加して、複数のＤＮＳリクエストを行い、
前記ＤＮＳ応答履歴解析手段が、前記複数のＤＮＳリクエストの前記履歴情報によって前記訓練用ファイルの開封状況の判定を行うことを特徴とする。
このように、端末情報を複数の文字列に分割し、それらの情報をそれぞれ含む複数のＤＮＳリクエストによって訓練用ファイルの開封判定を行う構成とすることにより、ドメイン名の長さによる制約を受けることなく、多くの端末情報を開封状況の判定に用いることができる。

【0022】

本発明の好ましい形態では、前記履歴情報が、前記ＤＮＳリクエストの送信元ＩＰアドレスを含み、
前記ＤＮＳ応答履歴解析手段が、前記送信元ＩＰアドレスに基づいて、前記訓練用ファイルの開封状況の判定を行うことを特徴とする。
このように、ＤＮＳリクエストの送信元ＩＰアドレスを開封状況の判定に用いることで、訓練対象者による訓練用ファイルの開封状況をより正確に把握することができる。

【0023】

本発明の好ましい形態では、前記訓練用ファイルが前記訓練対象者へと選択を求める複数の選択肢を有し、前記訓練対象者による前記選択肢の選択内容に応じた情報を前記訓練用ドメイン名に付加し、前記ＤＮＳリクエストを行うことを特徴とする。
このように、訓練対象者への選択肢の提示と、訓練対象者による選択に応じた情報を含むＤＮＳリクエストが可能な構成とすることにより、訓練対象者へのアンケートなどを実施することができる

【0024】

本発明に係るサイバー攻撃メール対応訓練プログラムは、
訓練対象者へと訓練用ファイルを添付した訓練用メールを送信し、前記訓練対象者による前記訓練用ファイルの開封状況の記録を行うサイバー攻撃メール対応訓練プログラムであって、
コンピュータ装置を、
前記訓練対象者の情報を記憶する訓練対象者情報記憶部と、
前記訓練用メールを受信した前記訓練対象者によって前記訓練用ファイルが開封された場合に発生するＤＮＳリクエストの履歴情報を記憶するＤＮＳ応答履歴情報記憶部と、
前記訓練対象者による前記訓練用ファイルの開封状況を記憶する訓練結果情報記憶部と、
訓練用ドメイン名を含む訓練用ファイルを生成する、訓練用ファイル生成手段と、
前記訓練用ファイルが添付された、サイバー攻撃メールを模した訓練用メールを前記訓練対象者へと送信する訓練用メール送信手段と、
前記ＤＮＳリクエストを受信した場合に、前記履歴情報を前記ＤＮＳ応答履歴情報記憶部へと記録するＤＮＳ応答手段と、
前記履歴情報の解析を行い、前記履歴情報と前記訓練対象者情報記憶部の記憶する情報に基づいて、前記訓練用ファイルを開封した前記訓練対象者を特定し、前記訓練用ファイルの開封状況を前記訓練結果情報記憶部へと記録するＤＮＳ応答履歴解析手段と、として動作させることを特徴とする。

【0025】

本発明に係るサイバー攻撃メール対応訓練システムの動作方法は、
訓練対象者情報記憶部と、ＤＮＳ応答履歴情報記憶部と、訓練結果情報記憶部と、訓練用ファイル生成手段と、訓練用メール送信手段と、ＤＮＳ応答手段と、ＤＮＳ応答履歴解析手段と、を備えるサイバー攻撃メール対応訓練システムの動作方法であって、
前記訓練用ファイル生成手段が、訓練用ドメイン名を含む訓練用ファイルを生成するステップと、
前記訓練用メール送信手段が、前記訓練用ファイルが添付された、サイバー攻撃メールを模した訓練用メールを訓練対象者へと送信するステップと、
前記ＤＮＳ応答手段が、前記訓練用メールを受信した前記訓練対象者によって前記訓練用ファイルが開封された場合に発生するＤＮＳリクエストを受信し、履歴情報を前記ＤＮＳ応答履歴情報記憶部へと記録するステップと、
前記ＤＮＳ応答履歴解析手段が、前記履歴情報と前記訓練対象者情報記憶部の記憶する情報とに基づいて、前記訓練用ファイルを開封した前記訓練対象者を特定し、前記訓練結果情報記憶部へと記録するステップと、を備えることを特徴とする。

【発明の効果】

【0026】

外部ネットワークとの通信が制限されるような組織内ネットワークなどにおいても、訓練対象者による添付ファイルの開封状況を把握し、効果的な訓練を実施することができるサイバー攻撃メール対応訓練システムを提供することができる。

【図面の簡単な説明】

【0027】

【図1】本発明の一実施形態に係るサイバー攻撃メール対応訓練システムの構成図である。

【図2】本発明の一実施形態に係るサイバー攻撃メール対応訓練サーバ装置の機能ブロック図である。

【図3】本発明の一実施形態に係る訓練管理者端末装置の機能ブロック図である。

【図4】本発明の一実施形態に係る訓練対象者端末装置の機能ブロック図である。

【図5】本発明の一実施形態における各記憶部のデータ構造の一例を示す図である。

【図6】本発明の一実施形態における訓練用メールの送信時の処理を示すフローチャートである。

【図7】本発明の一実施形態における訓練用メールの受信時の処理を示すフローチャートである。

【図8】本発明の一実施形態における訓練用ファイルの開封時の処理を示すフローチャートである。

【図9】本発明の一実施形態における訓練用ファイルの開封時の処理を示すフローチャートである。

【図10】本発明の一実施形態におけるＤＮＳリクエストの受信時の処理を示すフローチャートである。

【図11】サイバー攻撃メール対応訓練の実施の流れを示すフローチャートである。

【発明を実施するための形態】

【0028】

以下、図面を参照して本発明の一実施形態について、詳細に説明する。なお、本実施形態に係るサイバー攻撃メール対応訓練システムは、任意の組織を訓練対象組織Ａとして、標的型攻撃メールへの対応訓練の手段を提供するものである。より具体的には、訓練対象組織Ａに所属する訓練管理者が訓練の準備を行い、訓練対象組織Ａに所属する訓練対象者を対象として、標的型攻撃メールへの対応訓練を行うものである。あるいは、訓練対象組織Ａの外部の訓練管理者が、訓練対象組織Ａに加えて他の訓練対象組織における標的型攻撃メールへの対応訓練を管理するような構成としてもよい。

【0029】

本実施形態に係るサイバー攻撃メール対応訓練システムを用いた訓練のおおまかな流れは、図１１に示すようなものである。そして、ステップＳ６３における訓練用ファイルの開封状況の確認に、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）プロトコルによる通信を利用する点に、特徴を有する。

【0030】

＜システム構成＞
図１は、本実施形態に係るサイバー攻撃メール対応訓練システムの構成図である。ここに示すように、サイバー攻撃メール対応訓練システムは、サイバー攻撃メール対応訓練サーバ装置１と、メール送信サーバ装置２と、メール受信サーバ装置３と、訓練管理者が利用する訓練管理者端末装置４と、訓練対象者が利用する訓練対象者端末装置５と、を備える。

【0031】

そして、訓練管理者端末装置４と、訓練対象者端末装置５は、訓練対象組織Ａ内に整備されたＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）７を介して、互いに通信可能に構成される。そして、ＬＡＮ７に属する各端末装置は、訓練対象組織Ａ外のＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）６に接続された他の装置との通信を行う際には、ＬＡＮ７に接続されたファイアウォール８を経由することになる。

【0032】

ファイアウォール８は省略してもよいが、企業などの多くの組織における組織内ＬＡＮでは、セキュリティ対策のために、組織内外の通信はファイアウォールを経由するよう構成される。また、更に、図示しないプロキシサーバや、組織内ＤＮＳサーバが、ＬＡＮ７に接続されるような構成としてもよい。

【0033】

ＷＡＮ６には、先に述べたようにファイアウォール８を介してＬＡＮ７に接続される各端末が接続されるほか、サイバー攻撃メール対応訓練サーバ装置１と、メール送信サーバ装置２と、メール受信サーバ装置３と、が通信可能に接続される。

【0034】

なお、メール送信サーバ装置２と、メール受信サーバ装置３とは、単一のメール送受信サーバとして構成されてもよい。また、メール送信サーバ装置２、メール受信サーバ装置３は共に、訓練用に専用のサーバ装置を用意せずに、訓練対象組織Ａにおいて平常時に利用しているサーバ装置を用いてもよい。

【0035】

図２は、サイバー攻撃メール対応訓練サーバ装置１の機能ブロック図である。ここに示すように、サイバー攻撃メール対応訓練サーバ装置１は、訓練対象者端末装置５から送信されるＤＮＳリクエストＲＥＱを受信し、回答を行うＤＮＳ応答手段１１と、ＤＮＳ応答手段１１によって参照される、訓練用ドメイン情報とＩＰアドレスとの対応を記憶するゾーン情報記憶部１４と、ＤＮＳ応答手段１１の行ったＤＮＳ応答の履歴情報を記憶するＤＮＳ応答履歴情報記憶部１５と、訓練対象者の氏名や所属などの情報を記憶する訓練対象者情報記憶部１６と、ＤＮＳ応答履歴情報記憶部１５の記憶する履歴情報と訓練対象者情報記憶部１６の記憶する訓練対象者情報とから、訓練対象者による訓練用ファイルの開封状況を確認するＤＮＳ応答履歴解析手段１２と、ＤＮＳ応答履歴解析手段１２による解析結果を記憶する訓練結果情報記憶部１７と、訓練結果情報記憶部１７の記憶する情報から、訓練の結果の集計などを行い、訓練管理者が閲覧するための訓練結果の出力を行う、訓練結果情報出力手段１３と、を備える。

【0036】

なお、ＤＮＳ応答手段１１には、汎用的なＤＮＳサーバプログラムを用いることができる。そのような構成とする場合には、ゾーン情報記憶部１４は当該ＤＮＳサーバプログラムの設定ファイル、ＤＮＳ応答履歴情報記憶部１５は当該ＤＮＳサーバプログラムのログファイルに該当する。

【0037】

図３は、訓練管理者端末装置４の機能ブロック図である。ここに示すように、訓練管理者端末装置４は、訓練に用いる、マルウェアなどを模した訓練用ファイルを生成する、訓練用ファイル生成手段４１と、訓練用ファイルを添付する、標的型攻撃メールを模した訓練用メールＴＭを作成する訓練用メール作成手段４２と、メール送信サーバ装置２を利用して訓練用メールＴＭを訓練対象者へと送信する、訓練用メール送信手段４３と、を備える。

【0038】

なお、訓練用メール作成手段４２、訓練用メール送信手段４３は、一般的なメール送受信プログラムなどを用いるような構成としてもよい。

【0039】

図４は、訓練対象者端末装置５の機能ブロック図である。ここに示すように、訓練対象者端末装置５は、訓練用メールＴＭをメール受信サーバ装置より受信し、閲覧する電子メール閲覧手段５１と、訓練対象者の操作によって、訓練用メールＴＭに添付された訓練用ファイルの開封を行う添付ファイル開封手段５２と、を備える。

【0040】

なお、電子メール閲覧手段５１には、訓練対象者が利用する一般的なメール送受信プログラムを用い、より実際に近い環境での訓練を実施可能な構成とすることが好ましい。

【0041】

サイバー攻撃メール対応訓練サーバ装置１には、演算装置、主記憶装置、補助記憶装置、各種の入出力装置などを備え、ＷＡＮ６へと直接的に、あるいは他のネットワーク機器などを介して接続可能な、汎用的なサーバ装置を用いることができる。より詳細には、サーバ装置の補助記憶装置上に、サーバ装置を上記各手段として動作させるためのプログラムと上記各記憶部として使用する領域を配し、プログラムを動作させることにより、サーバ装置をサイバー攻撃メール対応訓練サーバ装置１として動作させることができる。

【0042】

また、ＤＮＳ応答手段１１と、ゾーン情報記憶部１４、及びＤＮＳ応答履歴情報記憶部１５を有するＤＮＳサーバ装置を利用し、ＤＮＳ応答履歴解析手段１２と、訓練対象者情報記憶部１６、訓練結果情報記憶部１７、及び訓練結果情報出力手段１３を備えるようなサーバ装置を追加で用意する、といったように、複数のサーバ装置によってサイバー攻撃メール対応訓練サーバ装置を実現するような構成としてもよい。

【0043】

特に、ＤＮＳサーバ装置は、負荷分散や冗長性の確保のために複数台用意され、それらを協調動作させることが多い。本実施形態においても、ＤＮＳ応答手段１１、ゾーン情報記憶部１４、ＤＮＳ応答履歴情報記憶部１５をそれぞれ備える複数台のサーバ装置を用い、それらを協調して動作させるような構成としてもよい。その場合においても、それらの内の何れかのサーバ装置に、あるいは異なるサーバ装置により、ＤＮＳ応答履歴解析手段１２や訓練対象者情報記憶部１６、訓練結果情報記憶部１７、訓練結果情報出力手段１３を構成し、複数のＤＮＳ応答履歴情報記憶部１５に記録されるＤＮＳ応答履歴情報から、訓練の結果を集計可能に構成されることが好ましい。

【0044】

メール送信サーバ装置２、メール受信サーバ装置３についても同様に、汎用的なサーバ装置を用いることができる。

【0045】

訓練管理者端末装置４及び訓練対象者端末装置５には、演算装置、主記憶装置、補助記憶装置、各種の入出力装置などを備え、ＬＡＮ７へと接続可能な、汎用的なコンピュータ装置を用いることができる。例えば、パーソナルコンピュータや、タブレット型端末装置、スマートフォン端末装置、携帯電話などである。

【0046】

また、図１に示したように、訓練管理者端末装置４及び訓練対象者端末装置５の全てがＬＡＮ７を介してＷＡＮ６へと接続される構成のみでなく、図示しない他のＬＡＮを経由して、あるいは直接的に、ＷＡＮ６への接続が可能な端末装置を含むような構成としてもよい。このような構成とすることにより、訓練対象組織Ａの他の拠点から通信を行う訓練対象者や、ノートパソコンやタブレット型端末装置、スマートフォン端末装置、携帯電話といったモバイル端末を用いて通信を行う訓練対象者についても、ＬＡＮ７を介して通信を行う訓練対象者と同様に訓練を実施することができる。

【0047】

また、訓練対象組織Ａと同様に、図示しない他の訓練対象組織についても、同様に各組織内のＬＡＮ環境から、ＷＡＮ６に接続するような構成とし、複数の組織を対象とした訓練を実施可能な構成とすることが好ましい。

【0048】

＜各記憶部のデータ構造＞
図５に、サイバー攻撃メール対応訓練サーバ装置１の有する各記憶部のデータ構造の一例を示す。図５（ａ）は、ゾーン情報記憶部１４の記憶する訓練用ドメインの情報を示す図である。

【0049】

ここで、一般的なドメイン名の取り扱いとして、ドメイン名が「＊．ｏｒｇ−ａ．ｅｘａｍｐｌｅ．ｃｏｍ」であれば、「ｃｏｍ」ドメインの配下に「ｅｘａｍｐｌｅ」ドメインが、そして更にその配下に、「ｏｒｇ−ａ」ドメインが存在する、といった形態となる。

【0050】

そして、「＊」はワイルドカードを示す。すなわち、「＊」の部分にどのようなドメイン名が設定されていた場合においても、その後ろに「．ｏｒｇ−ａ．ｅｘａｍｐｌｅ．ｃｏｍ」の文字列が続くドメイン名であれば、「ｘｘｘ．ｘｘｘ．ｘｘｘ．１」が対応するＩＰアドレスである、という形態で、ドメイン名とＩＰアドレスとを対応付けて記憶している。

【0051】

なお、ここでは、「ｅｘａｍｐｌｅ．ｃｏｍ」ドメインが、サイバー攻撃メール対応訓練サーバ装置１を管理する組織の管理するドメインであり、それを管理するＤＮＳサーバ（「ｅｘａｍｐｌｅ．ｃｏｍ」ドメインの権威ＤＮＳサーバ）が、サイバー攻撃メール対応訓練サーバ装置１に設定されている状況を想定している。そして、「ｏｒｇ−ａ」、「ｏｒｇ−ｂ」、「ｏｒｇ−ｃ」ドメインは、先に述べたように、複数の訓練対象組織を対象とした訓練を実施する場合に各訓練対象組織を識別するための、それぞれの組織に対応するサブドメインである。

【0052】

図５（ｂ）は、訓練対象者情報記憶部１６の記憶する、訓練対象者情報の一例を示す図である。ここでは、訓練対象者を一意に識別可能な任意のＩＤ文字列と、訓練対象者の氏名、その所属組織、利用しているメールアドレスなど、訓練対象者についての情報を記憶する。

【0053】

そして更に、各訓練対象者の利用する訓練対象者端末装置５の情報として、そのホスト名、訓練対象組織内のＬＡＮ環境で利用しているローカルＩＰアドレス、そして訓練対象者端末装置５の備えるネットワークカードのＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスなどの情報も、各訓練対象者と紐付けて記憶する。

【0054】

図５（ｃ）は、ＤＮＳ応答履歴情報記憶部１５の記憶する、訓練対象者端末装置５からのＤＮＳリクエストＲＥＱをＤＮＳ応答手段１１が受信し、ＤＮＳ回答ＡＮＳを送信した履歴情報の一例である。

【0055】

ＤＮＳ応答履歴情報としては、ここに示すように、ＤＮＳリクエストＲＥＱの受信時刻、ＤＮＳリクエストＲＥＱに含まれていた、問い合わせ対象のＦＱＤＮ（Ｆｕｌｌｙ Ｑｕａｌｉｆｉｅｄ Ｄｏｍａｉｎ Ｎａｍｅ，完全修飾ドメイン名）、当該問い合わせに対して送信したＤＮＳ回答ＡＮＳに含まれるＩＰアドレス、そして、ＤＮＳリクエストＲＥＱの送信元のＩＰアドレス情報などの情報を記憶する。

【0056】

なお、ここで、問い合わせ対象のＦＱＤＮには、後に詳細に説明するように、訓練対象者及び／又は訓練対象者端末装置５を特定可能な文字列をサブドメインとして含むことが好ましい。ＤＮＳ応答履歴解析手段１２は、この情報などを利用して、訓練対象者による訓練用ファイルの開封の有無を確認し、訓練結果情報記憶部１７へと記憶する。

【0057】

図５（ｄ）は、訓練結果情報記憶部１７の記憶する、訓練結果情報の一例である。ここに示すように、訓練結果情報としては、ＩＤや氏名、所属組織といった、訓練対象者の情報や、訓練用ファイルの開封確認時刻、先に述べたような、訓練対象者及び／又は訓練対象者端末装置５を特定可能なサブドメインより判別した、訓練対象者端末装置５の情報などを記憶する。訓練管理者は、この情報を参照、集計することにより、訓練対象組織における各訓練対象者による訓練用ファイルの開封状況を把握することができる。

【0058】

＜訓練の実施の流れ＞
続いて、本実施形態に係るサイバー攻撃メール対応訓練システムによる訓練の実施の流れについて説明する。訓練全体の流れとしては、図１１のフローチャートに示すように、まず訓練管理者による訓練用ファイル及び訓練用メールＴＭの作成（ステップＳ６１）、訓練用ファイルを添付した訓練用メールＴＭの送信（ステップＳ６２）を行い、そして各訓練対象者による訓練用ファイルの開封状況の確認（ステップＳ６３）の後に、それに基づいて訓練対象者に対する教育を実施する（ステップＳ６４）、といったものである。

【0059】

図６は、訓練管理者による訓練管理者端末装置４を用いた、訓練用メールＴＭの送信までの流れを示すフローチャートである。まず、ステップＳ１１で、訓練用ファイルの作成を行う。ここで、訓練用ファイルとしては、訓練対象者端末装置５の添付ファイル開封手段５２によって訓練用ファイルが開封された際に実行される実行形式のファイルや、同様に開封された際に、Ｍｉｃｒｏｓｏｆｔ（登録商標）社のＯｆｆｉｃｅ（登録商標）に含まれる、ＷｏｒｄやＥｘｃｅｌ、ＰｏｗｅｒＰｏｉｎｔといった、汎用的な文書作成ソフトウェアや表計算ソフトウェアによって展開され、所定の処理の実行を促すようなデータファイルなどを用いることができる。

【0060】

訓練用ファイルには、少なくとも、訓練対象組織を識別可能なドメイン名を含めておく。本実施形態においては、「ｏｒｇ−ａ」というサブドメインが訓練対象組織を表すものとしているため、「ｏｒｇ−ａ．ｅｘａｍｐｌｅ．ｃｏｍ」というドメイン名の情報を、訓練用ファイルに含める。

【0061】

なお、訓練用ファイルは、全訓練対象者に送信する単一のファイルとしてもよいし、ＩＤなどの訓練対象者を特定可能な情報を含めた、訓練対象者毎に別個のファイルとしてもよい。また、訓練対象者ごとに別個のファイルとする場合には、訓練対象者情報記憶部１６に記憶される各訓練対象者の情報、あるいは同様の内容を持つ表形式ファイルなどを利用して、一括で作成できるような構成とすることが好ましい。

【0062】

また、訓練用ファイルには、訓練対象者が開封した際に標的型攻撃メールへの対応の訓練であることや、メールの添付ファイルの開封に関する注意喚起などを含むメッセージを設定可能とすることが好ましい。

【0063】

更に、訓練用ファイルに、訓練対象者が開封した際に表示する質問事項と、その回答として選択を求める選択肢や、文字列の入力を求める入力項目などを設定可能な構成としてもよい。このような構成とすれば、訓練対象者が訓練用ファイルを開封した際に、どのような理由で開封してしまったか、といったアンケートを行うことができる。そして、後に説明するように、訓練対象者による回答内容に応じて異なるＩＰアドレスを含むＤＮＳ回答ＡＮＳがＤＮＳ応答手段１１より送信される構成とし、それらのＩＰアドレスに応じた処理を予め訓練用ファイル内に定義しておけば、訓練対象者による回答内容に応じて異なるメッセージの表示などの処理を行う、といった構成にすることもできる。

【0064】

続くステップＳ１２では、訓練用メールＴＭの作成を行う。ここでも、ステップＳ１１で説明した訓練用ファイルの作成と同様、全訓練対象者で共通の訓練用メールＴＭを作成するような構成としてもよいし、例えば各訓練対象者の氏名を含めるような、訓練対象者毎に別個の内容とするような構成としてもよい。

【0065】

ここで、訓練用メールＴＭに、送信元アドレスの偽装などのような、実際の標的型攻撃メールに見られるような特徴を含めることによって、より有効な訓練を実施することが可能となる。

【0066】

以上のようにして訓練用ファイルと訓練用メールＴＭとを作成した後、ステップＳ１３で、訓練用ファイルを訓練用メールＴＭに添付して、各訓練対象者へと送信する。ここでも、訓練対象者情報記憶部１６に記憶される各訓練対象者の情報、あるいは同様の内容を持つ表形式ファイルなどを利用して、一括で送信可能な構成とすることが好ましい。

【0067】

また、ステップＳ１３における訓練用メールＴＭの送信は、より詳細には、訓練管理者端末装置４から、メール送信サーバ装置２へと、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）などのプロトコルによって訓練用メールＴＭが送信され、メール送信サーバ装置２より、メール受信サーバ装置３へと訓練用メールＴＭが送信される。ここで、メール送信サーバ装置２が、訓練対象組織が利用するドメイン外のサーバ装置であること、すなわち、訓練用メールＴＭが、訓練対象組織外のドメインから送信されるような形態とすることにより、訓練用メールＴＭをより実際の標的型攻撃メールに近い形態で送信することができる。

【0068】

図７は、訓練対象者端末装置５による、訓練用メールＴＭの受信時の処理の流れを示すフローチャートである。まず、ステップＳ２１で、訓練用メールＴＭを受信し、訓練対象者はその内容を閲覧する。より詳細には、訓練対象者端末装置５の備える汎用的なメールクライアントソフトウェアによって、メール受信サーバ装置３へとＰＯＰ（Ｐｏｓｔ Ｏｆｆｉｃｅ Ｐｒｏｔｏｃｏｌ）や、ＩＭＡＰ（Ｉｎｔｅｒｎｅｔ Ｍｅｓｓａｇｅ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）などのプロトコルを用いて接続し、訓練用メールＴＭをメール受信サーバ装置３から訓練対象者端末装置５上へとダウンロードし閲覧する、あるいはメール受信サーバ装置３上の電子メールを直接閲覧する。

【0069】

そして、ステップＳ２２で、訓練対象者の操作によって、訓練用メールＴＭに添付された訓練用ファイルが開封されなかった場合には、処理は終了する。

【0070】

ステップＳ２２で訓練用ファイルが開封された場合には、ステップＳ２３へと進み、訓練用ファイルの開封時の処理を実行する。

【0071】

なお、ここでの訓練用ファイルの開封判定においては、訓練対象者が明示的な操作によって訓練用ファイルを開封した場合の他にも、電子メール閲覧手段５１として利用するメールクライアントソフトウェアによる、文書ファイルなどのプレビュー表示が行われた際にも、訓練用ファイルが開封された、と判定することが好ましい。このような構成とすれば、メールクライアントソフトウェアのセキュリティ設定についても確認し、訓練対象者へと注意を促すことができる。

【0072】

図８は、訓練用ファイル開封時の処理を示すフローチャートである。まず、ステップＳ３１で、訓練用ファイルの開封が行われた訓練対象者端末装置５の端末情報の収集を行う。ここで、端末情報としては、訓練対象者端末装置５のホスト名や、ＬＡＮ７内にて割り当てられているプライベートＩＰアドレス、ネットワークカードのＭＡＣアドレスなど、訓練対象者情報記憶部１６の記憶する情報と同様の情報を収集する。

【0073】

そして、ステップＳ３２では、訓練用ファイルを開封した訓練対象者端末装置５を特定可能な形態のＦＱＤＮの生成を行う。より詳細には、ステップＳ３１で収集した端末情報のエンコードを行い、それをサブドメインとして、訓練用ファイルに含まれる訓練対象組織を特定可能なドメイン名に付加することによって、訓練対象者端末装置５を特定可能なＦＱＤＮとする。

【0074】

例えば、ステップＳ３１で収集した訓練対象者端末装置５の端末情報をエンコードして、「９ＳＡＤＳＦＤＦＳＤ２Ｌ３ＡＳＤＥ３」というサブドメインを生成する。そして、訓練用ファイルに含まれる訓練対象組織を特定可能なドメイン名「ｏｒｇ−ａ．ｅｘａｍｐｌｅ．ｃｏｍ」に付加することによって、「９ＳＡＤＳＦＤＦＳＤ２Ｌ３ＡＳＤＥ３．ｏｒｇ−ａ．ｅｘａｍｐｌｅ．ｃｏｍ」というＦＱＤＮを生成する。

【0075】

このように、端末情報をＦＱＤＮに含めることにより、訓練用ファイルを開封した訓練対象者端末装置５をより正確に特定することができる。例えば、一部のセキュリティソフトなどを利用している環境においては、添付ファイルの安全性を確認するために、添付ファイルがセキュリティソフトのベンダの用意するサーバへと送信され、そこで添付ファイルの開封が行われる場合などもある。そのような場合においても、端末情報を含むＦＱＤＮを生成する構成とすれば、訓練用ファイルがメール受信サーバ装置３上で開封された場合と、訓練対象者端末装置５上で開封された場合とで異なるＦＱＤＮが生成されるため、開封がセキュリティソフトによって自動的になされたものであるか、訓練対象者が行ったものでるのかを判別することができる。

【0076】

なお、文字列のエンコードを省略し、端末情報を文字列として含めるようなより単純な構成としてもよい。その場合には、ＦＱＤＮ情報から端末情報を簡単に読み取ることができるため、訓練用ファイルの開封を行った訓練対象者端末装置５を容易に特定することができる。しかし、組織内のネットワーク情報などが外部に漏えいするリスクがあるため、端末情報はエンコードすることが好ましい。

【0077】

続くステップＳ３３で、ステップＳ３２において生成したＦＱＤＮを用いた、ＤＮＳリクエストＲＥＱを生成し、送信する。ここで、ＤＮＳリクエストＲＥＱは、訓練用ファイルを開封した訓練対象者端末装置５に予め問い合わせ先として設定されたＤＮＳサーバへと送信される。例えば、ＬＡＮ７に接続される図示しない組織内ＤＮＳサーバが設定されている場合には、その組織内ＤＮＳサーバへ、あるいはＷＡＮ６に接続される図示しない組織外ＤＮＳサーバが設定されている場合には、その組織外ＤＮＳサーバへと、ＤＮＳリクエストは送信される。しかし、訓練対象者端末装置５からの問い合わせがいずれのＤＮＳサーバへと送信された場合においても、ＤＮＳフォワーディングの仕組みにより、最終的には「ｅｘａｍｐｌｅ．ｃｏｍ」ドメインの権威ＤＮＳサーバである、サイバー攻撃メール対応訓練サーバ装置１へと、ＤＮＳリクエストＲＥＱは到達する。そして、サイバー攻撃メール対応訓練サーバ装置１は、後に説明するように、ＤＮＳリクエストＲＥＱの受信情報を、ＤＮＳ応答履歴情報記憶部１５へと記録する。

【0078】

なお、ドメイン名の制約として、「．」によって区切られる各ラベルの文字列長は、６３文字以下であること、そして、ＦＱＤＮの文字列長は、２５３文字以下である必要がある。ここで、ステップＳ３２におけるＦＱＤＮの生成において、ラベルの文字列長及び／又はＦＱＤＮの文字列長が、上記の最大文字数を超過してしまう場合も考えられる。そのような場合には、端末情報等を示す文字列を複数に分割し、ステップＳ３２で複数のＦＱＤＮを生成し、ステップＳ３３でそれらの複数のＦＱＤＮを用いた複数のＤＮＳリクエストＲＥＱを送信するような構成とすることが好ましい。分割した各ＦＱＤＮの対応を示すような情報を分割後のＦＱＤＮに含めておくことにより、後のＤＮＳ応答履歴解析手段１２による解析の際に結合することができる。

【0079】

ＤＮＳリクエストの送信後には、ステップＳ３４へと進み、訓練用ファイルに予め設定された、標的型攻撃メールへの対応の訓練であることや、メールへの添付ファイルの開封についての注意喚起などのメッセージの表示を行い、処理を終了する。

【0080】

なお、訓練用ファイルを訓練対象者毎に異なるものとする場合には、訓練用ファイルに予めＩＤなどの訓練対象者を識別可能な情報を含めておき、ステップＳ３２でその情報を含むＦＱＤＮを生成するような構成、あるいは、訓練用ファイルに予めＩＤなどの訓練対象者を識別可能な情報を含むＦＱＤＮ情報を含めておき、ステップＳ３２における訓練対象者端末装置５上でのＦＱＤＮの生成処理を省略するような構成とし、ステップＳ３１における端末情報の収集を省略するような構成としてもよい。

【0081】

図９は、訓練用ファイル開封時の処理について、図８に示したものとは異なる例を示すフローチャートである。これは、先に述べたように、訓練用ファイルに質問事項と、それに対する回答として訓練対象者からの選択を受け付ける選択肢、そしてＤＮＳ回答ＡＮＳに含まれるＩＰアドレスに対応して表示を行う複数のメッセージが含まれる場合の処理の例を示すものである。

【0082】

まず、ステップＳ４１では、図８におけるステップＳ３１と同様に、訓練用ファイルの開封が行われた訓練対象者端末装置５の端末情報の収集を行う。

【0083】

そして、ステップＳ４２で、訓練用ファイルに設定された質問事項と、回答の選択肢を表示し、ステップＳ４３で、訓練対象者からの回答を受け付ける。

【0084】

ステップＳ４４では、ステップＳ４１で収集した端末情報に加え、ステップＳ４３で受け付けた回答情報も利用して、図８におけるステップＳ３２と同様にエンコードを行い、それをサブドメインとして訓練用ファイルに含まれる訓練対象組織を特定可能なドメイン名に付加して、ＦＱＤＮの生成を行う。

【0085】

そしてステップＳ４５において、図８におけるステップＳ３３と同様にＤＮＳリクエストＲＥＱの生成と送信を行う。その後、ステップＳ４６で、ＤＮＳリクエストＲＥＱに対するＤＮＳ回答ＡＮＳが得られるまで待機する。

【0086】

ステップＳ４６でＤＮＳ回答ＡＮＳを受信した後には、それに含まれるＩＰアドレスに応じてメッセージを選択し、ステップＳ４７で表示し、処理は終了する。

【0087】

このような構成とすれば、例えば訓練用ファイルに、訓練対象者への質問事項として、「どのような理由で添付ファイルを開封しましたか？」というメッセージを、それに対する回答の選択肢として、（１）「通常業務にて利用するファイル形態と判別がつかなかったため」、（２）「メール送信者のアドレスが得意先のものであったため」という選択肢を、そして（１）を選択した訓練対象者に対して表示するメッセージとして、添付ファイルの形式の偽装に関する注意喚起のメッセージを、（２）を選択した訓練対象者に対して表示するメッセージとして、送信元アドレスの偽装に関する注意喚起のメッセージをそれぞれ含めておき、各訓練対象者により適切な教育を行うことができる。

【0088】

なお、図９に示した処理においても、図８を用いて説明した処理と同様、ＦＱＤＮの生成において文字列のエンコードを省略するような構成や、端末情報の収集を省略し、ＦＱＤＮに含めないような構成としてもよい。

【0089】

図１０は、ＤＮＳリクエストＲＥＱを受信した際の、サイバー攻撃メール対応訓練サーバ装置１における処理の流れを示すフローチャートである。まず、ステップＳ５１で、ＤＮＳ応答手段１１が、ＤＮＳリクエストＲＥＱを受信する。

【0090】

そして、ＤＮＳリクエストＲＥＱに含まれるＦＱＤＮが属するドメイン名に割り当てられたＩＰアドレスを、ゾーン情報記憶部１４から検索する。そして、ステップＳ５３で、ゾーン情報記憶部１４から作出したＩＰアドレスを含むＤＮＳ回答ＡＮＳを生成し、ＤＮＳリクエストＲＥＱの送信元である訓練対象者端末装置５へと送信する。

【0091】

最後にステップＳ５４で、ＤＮＳ応答履歴情報記憶部１５に、図５（ｃ）を参照して説明したような、ＤＮＳリクエストＲＥＱの受信時刻や、問い合わせ対象のＦＱＤＮなどの情報を記録し、処理は終了する。

【0092】

なお、先に図９を用いて説明したような、訓練対象者端末装置５がＤＮＳ回答ＡＮＳの受信を待ち、それに含まれるＩＰアドレスを処理に利用するような構成でない場合には、ステップＳ５３におけるＤＮＳ回答ＡＮＳの送信処理を行わず、ステップＳ５４において単にＤＮＳリクエストＲＥＱの受信履歴のみを記録するような構成としてもよい。

【0093】

ＤＮＳ応答履歴情報記憶部１５に記録されたＤＮＳ応答履歴情報は、ＤＮＳ応答履歴解析手段１２によって解析される。ＤＮＳ応答履歴解析手段１２は、ＤＮＳ応答履歴情報と、訓練対象者情報記憶部の記憶する訓練対象者の情報とを参照することによって、訓練用ファイルを開封した訓練対象者の特定を行い、図５（ｃ）を参照して説明したような、訓練対象者のＩＤや氏名、所属組織、訓練用ファイルの開封日時などの情報を、訓練結果情報記憶部１７へと記録する。

【0094】

なお、ここでＤＮＳ応答履歴解析手段１２が、訓練対象者情報記憶部１６の記憶する訓練対象者の利用する訓練対象者端末装置５の端末情報と、ＤＮＳ応答履歴情報記憶部１５の記憶する各履歴情報に含まれる端末情報との照合を行い、訓練対象者端末装置５からのＤＮＳリクエストＲＥＱについての履歴のみを訓練結果情報記憶部１７に記録するような構成とすることが好ましい。このような構成とすれば、先に述べたようなセキュリティソフトによる開封などの不要な情報を排し、訓練結果情報を把握しやすくすることができる。

【0095】

また、訓練対象組織の利用するグローバルＩＰアドレスを予め把握しておき、ＤＮＳ応答履歴解析手段１２が、ＤＮＳ応答履歴情報記憶部１５の記憶する各履歴情報に含まれる送信元のＩＰアドレス情報の照合を行うことによって訓練対象者端末装置５からのＤＮＳリクエストＲＥＱであるか否かを判定し、訓練結果情報記憶部１７への記録を行うような構成としてもよい。

【0096】

先に述べたように、セキュリティソフトのベンダの用意するサーバへと添付ファイルが送信され、そこで開封される場合にも、それらのサーバに割り当てられたグローバルＩＰアドレスを予め把握しておくことにより、訓練用ファイルの開封が訓練対象者によって行われたものでないことを確認できる。

【0097】

例えば、図５（ｃ）に示すように、「ｏｒｇ−ａ．ｅｘａｍｐｌｅ．ｃｏｍ」のドメイン名を含む、ＤＮＳリクエストＲＥＱが複数回あった場合を想定する。これは、「ｏｒｇ−ａ」ドメインのみを見れば、全てのＤＮＳリクエストＲＥＱが、当該ドメインが割り当てられた組織Ａに属する訓練対象者による訓練用ファイルの開封によって生じたものである可能性が考えられる。しかし、問い合わせ対象のＦＱＤＮに、訓練用ファイルの開封が行われた端末装置の情報などを含めておけば、それによって、当該ＤＮＳリクエストＲＥＱが訓練対象者端末装置５から発せられたものであるか否かを、より確実に判定することができる。

【0098】

また、組織Ａの利用するグローバルＩＰアドレスが「ｙｙｙ．ｙｙｙ．ｙｙｙ．１２」である、という情報を予め把握しておけば、送信元ＩＰアドレスが「ｙｙｙ．ｙｙｙ．ｙｙｙ．１２」であるＤＮＳリクエストＲＥＱ以外は、先に述べたセキュリティソフトのベンダの用意したサーバ上での開封など、訓練対象者以外による開封であることを見分けることができる。

【0099】

このように、サブドメインに含まれるＤＮＳリクエストＲＥＱの送信元の端末情報や、ＤＮＳリクエストＲＥＱの送信元ＩＰアドレス情報によって、訓練対象者端末装置５から発せられたＤＮＳリクエストＲＥＱの履歴のみを訓練結果情報記憶部１７に記憶することが好ましい。

【0100】

また、先に述べたように、ラベルの文字列長及び／又はＦＱＤＮの文字列長の制約のために、端末情報等を示す文字列を複数に分割し、複数のＤＮＳリクエストＲＥＱがなされた場合には、それらに対するＤＮＳ応答履歴を結合し、１回の訓練用ファイルの開封として、訓練結果情報記憶部１７に記憶する。なお、ＤＮＳ応答手段１１を有する複数のサーバ装置を用いる場合においては、分割された複数のＤＮＳリクエストＲＥＱが複数のサーバ装置によって分散して受信される可能性もあるため、そのような場合においても、それぞれのサーバ装置の備えるＤＮＳ応答履歴情報記憶部１５の記憶するＤＮＳ応答履歴情報から対応するＤＮＳ応答履歴情報を抽出し、結合することができるよう構成されることが好ましい。

【0101】

訓練結果情報出力手段１３は、訓練結果情報記憶部１７の記憶する情報の集計などを行い、表形式ファイルでの出力や、訓練結果情報を示すＷｅｂページの生成など、任意の方法によって、訓練管理者が閲覧可能な状態で、訓練結果情報の出力を行う。なお、上述したような、訓練用ファイルが訓練対象者端末装置５上で開封されたか否かの判定をＤＮＳ応答履歴解析手段１２でなく訓練結果情報出力手段１３によって行い、必要な情報を選別するような構成としてもよい。

【0102】

あるいは、訓練管理者が訓練結果情報記憶部１７の記憶する情報を直接参照可能な構成としてもよい。このような構成とする場合には、各訓練管理者が、自身が所属、あるいは訓練を管理する訓練対象組織に属する訓練対象者に関する情報のみを参照可能な構成とすることが好ましい。このように、訓練結果情報を訓練対象組織毎に閲覧可能な構成とすることにより、複数の組織を訓練対象組織とした訓練を同時に実施する場合においても、各組織内の情報が他の組織に漏えいすることを防げる。

【0103】

また、先に図９を参照して説明したように、ＤＮＳリクエストＲＥＱに含まれるＦＱＤＮが、訓練対象者による回答情報を有する場合には、それを訓練結果情報記憶部１７に共に記録し、訓練結果情報出力手段１３によって集計可能に構成することが好ましい。

【0104】

以上のように、ＤＮＳリクエストＲＥＱの履歴情報を利用して訓練用ファイルの開封状況を確認可能な構成とすることにより、本実施形態に示したような、訓練対象組織内のＬＡＮ７と組織外のＷＡＮ６との間にファイアウォール８が設置されている場合にも、訓練対象者端末装置５からのＤＮＳリクエストＲＥＱの送信さえ許可されていれば、訓練対象組織内のネットワークに関するセキュリティ設定などを変更せずとも、標的型攻撃メールの対応訓練を実施することができる。また、ＬＡＮ７に図示しないプロキシサーバが設置され、訓練対象者端末装置５から外部へのＨＴＴＰやＳＭＴＰなどのプロトコルによる通信が制限されるような環境においても同様である。

【0105】

また、訓練対象者端末装置５から訓練用ファイルの開封時に送信されるＤＮＳリクエストＲＥＱに訓練対象者端末装置５の端末情報を含めることにより、訓練対象者による訓練用ファイルの開封の有無をより正確に判定することができる。

【0106】

更に、訓練用ファイルに質問や選択肢を含むような構成とすれば、訓練対象者へのアンケートを実施することができる。

【0107】

なお、本実施形態においては、標的型攻撃メールへの対応を想定した訓練を行う例を示したが、サイバー攻撃メール対応訓練システムの利用法はこれに限るものではない。例えば、不特定多数の攻撃対象へと送信されるフィッシングメールを想定した訓練を行うのであれば、訓練用メールＴＭの内容や、訓練用ファイルの種別、送信元のメールアドレスの設定などをそれに適したものとすれば、同様に訓練を実施することができる。

【0108】

また、本実施形態においては、ＩＰｖ４アドレスを用いたシステムを例示したが、ＩＰｖ６アドレスを用いる場合においても、ゾーン情報記憶部１４やＤＮＳ応答手段１１等、各部をそれに対応する構成とすれば、同様の方法によって訓練を実施することができる。

【符号の説明】

【0109】

１ サイバー攻撃メール対応訓練サーバ装置
１１ ＤＮＳ応答手段
１２ ＤＮＳ応答履歴解析手段
１３ 訓練結果情報出力手段
１４ ゾーン情報記憶部
１５ ＤＮＳ応答履歴情報記憶部
１６ 訓練対象者情報記憶部
１７ 訓練結果情報記憶部
２ メール送信サーバ装置
３ メール受信サーバ装置
４ 訓練管理者端末装置
４１ 訓練用ファイル生成手段
４２ 訓練用メール作成手段
４３ 訓練用メール送信手段
５ 訓練対象者端末装置
５１ 電子メール閲覧手段
５２ 添付ファイル開封手段
６ ＷＡＮ
７ ＬＡＮ
８ ファイアウォール
Ａ 訓練対象組織
ＲＥＱ ＤＮＳリクエスト
ＡＮＳ ＤＮＳ回答
ＲＥＳ 訓練結果情報
ＴＭ 訓練用メール

【要約】      （修正有）

【課題】通信環境に制限のある場合においても、訓練対象者による添付ファイルの開封状況を把握し、効果的な訓練を実施することができる、サイバー攻撃メール対応訓練システムを提供する。
【解決手段】サイバー攻撃メール対応訓練サーバ装置１を備え、訓練対象者へと訓練用ファイルを添付した訓練用メールを送信し、前記訓練対象者による前記訓練用ファイルの開封状況の記録を行うサイバー攻撃メール対応訓練システムである。サイバー攻撃メール対応訓練サーバ装置１を権威ＤＮＳサーバとする訓練用ドメイン名を含む訓練用ファイルを生成する、訓練用ファイル生成手段と、訓練用メールを送信する訓練用メール送信手段と、ＤＮＳリクエストＲＥＱの受信履歴情報を記録するＤＮＳ応答手段１１と、履歴情報を解析し、前記訓練用ファイルの開封状況を記録するＤＮＳ応答履歴解析手段１２と、を有する。
【選択図】図２

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】